是否將$ _SESSION變量直接放入SQL中存在安全風險？

Question

如果我有一個會話變量$_SESSION['username']，並且用戶名只能包含字母，數字，下劃線和連字符，並且我將其直接放入SQL，那麼這對注入來說是否容易受到攻擊？

$sessionUsername = $_SESSION['username']; 
SELECT x FROM y WHERE z='$sessionUsername' 

Answer 1

會話變量可以從外部改變，所以是的，這是一個風險。有幾種方法可以克服這種風險，關鍵是您可以使用準備好的語句which is recommended。或者您可以使用filter_var來排列潛在的線程，但建議使用絕對準備好的語句。

準備報表的示例。未經測試，但應該沒問題。

<?php 
$dataFromDb = array(); 

$conn = new mysqli('HOST', 'USER', 'PASS', 'DATABASE'); 
$query = "SELECT x FROM y WHERE z = ?"; 
if ($stmt = $conn->prepare($query)) { 
    $stmt->bind_param('s', $_SESSION['username']); 
    $stmt->execute(); 
    $result = $stmt->get_result(); 
    while ($results = $result->fetch_array(MYSQLI_ASSOC)) { 
     $dataFromDb[] = $results; 
    } 
}